SSL 证书过期前，网站会发生什么？

很多人以为证书过期只是浏览器地址栏少一把锁。实际上一到过期时间，浏览器会整页拦截， 接口调用直接失败，小程序与 APP 的 HTTPS 请求也会被拒绝——而且往往发生在你最不希望出事的时刻。

一、过期那一刻，不只是「少一把锁」

• 浏览器整页警告：Chrome / Safari / 微信内置浏览器都会提示「连接不是私密连接」，用户多数会直接关掉。
• 接口全部失败：前端调用后端、第三方回调、支付通知，只要走 HTTPS 校验就会报证书错误。
• 小程序 / APP 请求被拒：微信小程序要求合法 HTTPS，证书过期后接口直接不可用。
• 信任与 SEO 损失：老用户以为站点被劫持；搜索引擎也会降低不安全站点的展示。

二、证书的 4 种常见「死法」

1. 自然到期：最常见。免费证书 90 天一张，忘记续期就到期。
2. 证书被替换：CDN、WAF、面板或运维误操作换了证书，域名还能访问，但指纹已经变了。
3. 链不完整 / 域名不匹配：少装中间证书，或证书 SAN 里没有当前子域，部分客户端才报错。
4. 弱算法 / 自签证书：老系统沿用 SHA-1 或自签证书，新版本浏览器与移动端直接拒绝。

三、续期前自查清单

• 确认签发方式：Let's Encrypt / 商业证书 / 云厂商托管，续期入口分别在哪里。
• 确认验证方式：DNS 验证还是 HTTP 文件验证；DNS 验证要确认 TXT 记录仍可写入。
• 确认自动续期真的在跑：acme.sh / certbot 的定时任务是否还存在，续期后是否 reload 了 Nginx。
• 确认覆盖域名：主域、www、api、静态资源子域是否都在 SAN 里。
• 确认证书链完整：用在线工具或 openssl s_client -showcerts 检查是否带中间证书。
• 保留回滚：换证前备份旧证书与 Nginx 配置，出问题能立刻换回。

四、建议的提醒节奏

提前 30 天第一次提醒，留出续期与验证时间；15 / 7 天升级提醒强度； 1 天做最后兜底。异常类（被替换、域名不匹配、链错误）应当即时告警，而不是等到期。